什么是 launder？
launder 是一个用于过滤和清洗用户输入的 npm 包。它可以帮助前端开发者消除 XSS 攻击、SQL 注入等常见的安全风险。
安装
你可以在终端中使用 npm 安装 launder：
npm install launder
然后，在项目中引入 launder：
const launder = require('launder');使用
launder(input, options)
使用 launder 前，请先确保已经了解要过滤哪些内容，以及如何将结果安全地插入到模板或数据库中。
下面是一个简单的例子，展示了如何使用 launder 来过滤输入：
const launder = require('launder');
const input = '<script>alert("hello world");</script>';
const cleanedInput = launder(input);
console.log(cleanedInput); // 输出：<script>alert("hello world");</script>在上面的代码中，输入的 <script> 标签被转义成了 <script>，这样就避免了注入攻击。
选项
launder 还提供了一些可选参数，以更好地满足特定需求。
allowedTags
allowedTags 选项用于指定哪些标签是被允许的。默认情况下，所有标签都会被移除。例如，以下代码只允许 <strong> 和 <a> 标签：
const options = {
allowedTags: ['strong', 'a'],
};
const input = '<strong>Hello</strong> <em>world</em> <a href="#">Link</a>';
const cleanedInput = launder(input, options);
console.log(cleanedInput); // 输出：<strong>Hello</strong> LinkallowedAttributes
allowedAttributes 选项用于指定哪些标签的哪些属性是允许的。默认情况下，所有属性都会被移除。例如，以下代码只允许 <a> 标签中的 href 属性：
-- -------------------- ---- -------
----- ------- - -
------------------ -
-- ---------
--
--
----- ----- - --- -------- --------------------------
----- ------------ - -------------- ---------
-------------------------- -- ----- -----------------一些注意点
虽然 launder 可以帮助你过滤用户输入，但请记住它并不能解决所有安全问题。以下是一些需要注意的点：
- launder 只能过滤字符串类型的输入，不要将对象或数组作为参数传递给 launder。
- 将清洗后的数据插入到模板或数据库时，请使用对应的编码函数（如 HTML 编码或 SQL 参数绑定）来确保安全。
- 考虑使用 Content Security Policy 和其他安全措施来进一步提高网站的安全性。
结论
launder 是一个非常有用的 npm 包，可以帮助前端开发者消除常见的安全问题。使用 launder 时，请务必了解要过滤哪些内容，并注意一些需要注意的点。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/53774